메일큐 해독.....

[jinblue]

하수관리자 입니다.
무심결에 저희 메일서버 큐를 확인했는데 먼가 문제가 있는 듯 합니다.

우선 내용은....

i120LWA10012 30932 Mon Feb 2 09:21 <tcq@aol.com>
(Deferred: Connection timed out with mail.dongailbo.co.kr.)
<maria@mail.dongailbo.co.kr>
i120YBA10151 31322 Mon Feb 2 09:34 <seojh98@kali.or.kr>
(Deferred: Connection timed out with ms8.samsung.com.)
<sandra@ms8.samsung.com>
i11NscA09714 31112 Mon Feb 2 08:54 <net-mgr@ns.kotra.or.kr>
(host map: lookup (haenam.chonnam.kr): deferred)
<jimmy@haenam.chonnam.kr>
i11NoGA09672 32574 Mon Feb 2 08:50 MAILER-DAEMON
(Deferred: Connection timed out with ms8.samsung.com.)
<0hp100br8qxuby@ms8.samsung.com>
i11NmHA09648 33958 Mon Feb 2 08:48 MAILER-DAEMON
8BITMIME (Deferred: Connection refused by stooges.com.)
<rly@stooges.com>
i11NcQA09553 30950 Mon Feb 2 08:38 <yspbms3@hanmail.net>
(Deferred: Connection timed out with naver.net.)
<gusals76@naver.net>
i11NQuA09427 30999 Mon Feb 2 08:26 <hylee@kali.or.kr>
(Deferred: Connection timed out with mailout2.samsung.com.)
<0hlm00l0hardwj@mailout2.samsung.com>
i11NTdA09460 33626 Mon Feb 2 08:29 <friends@email.iflgtrading.com>
8BITMIME (Deferred: Connection timed out with www.etnews.co.kr.)
<kssuh@www.etnews.co.kr>

이런식으로 다량의 큐가 쌓여 있습니다.
물론 잘못 기재된 메일주소로 인해 발생 되었나 하고 넘기려 했는데..문제는 내부의 특정 pc에서 게속 발송된다는 점이네요.
바이러스 감염이 원인이 아닌가 하고 추측은 하고 있습니다만...

[truefeel]

무심결에? 음~~ 자주봐야할 것이 메일큐입니다. 뭐가 쌓였는지, 왜 발송이 안되는지 등을 체크를 자주해봐야 하거든요.
큐 내용을 봐서는 한창 떠돌고 다니는 마이둠 웜(MyDoom Worm)으로 보입니다.
메일 사이즈가 3만bytes를 조금 넣는거나 메일 주소 등이 그렇습니다.

1) 큐 삭제

우선 /var/spool/mqueue (또는 /etc/mail/sendmail.cf에서 O QueueDirectory= 에서 지정한 경로)에 가면
df*, qf* 파일이 있습니다. 이 파일이 메일 내용을 가진 data file과 queue 정보 파일입니다.
내용을 보고 필요없으면 모두 삭제를 하세요.

2) PC 검사

또한 PC들도 마이둠 웜에 걸렸는지 확인해보세요. 스캐닝 툴도 있습니다.
http://www.eeye.com/html/Research/Tools/exe/RetinaMyDoom.exe ( Retina 스캐너 )
물론 걸렸으면 치료를 하시구요.

3) 로그 확인

당분간은 /var/log/maillog 로그를 살펴보셔야할 것입니다.
tail -f /var/log/maillog 으로 송수신 로그 모두나
http://coffeenix.net/board_view.php?bd_code=172 ( procmail과 perl로 메일수신로그를 DB에 남기기 )으로 수신 로그만 DB로도 살펴볼 수 있습니다.
물론 /etc/procmailrc 에 LOGFILE= 에 지정한 로그파일에서 수신로그만 보는 것도 가능하구요.

* 마이둠 정보 : http://coffeenix.net/bbs/viewtopic.php?t=512